Telegram fecha brecha no Android com atualização 12.10.4

Pesquisadores apontam que o problema atingia versões de 8.6.2 a 12.10.3, mas não há registro público de ataques reais contra usuários.

A atualização 12.10.4 do Telegram para Android corrige uma falha que, segundo pesquisadores da NebuSec, poderia ser explorada durante uma chamada de voz atendida. O alerta foi divulgado em 29 de outubro, e a recomendação prática é conferir a versão do aplicativo e instalar a mais recente. Até agora, não há evidência pública de que criminosos tenham usado o problema em ataques reais.

Quem precisa atualizar

A falha atingia versões do Telegram para Android entre 8.6.2 e 12.10.3. O intervalo cobre edições lançadas desde 2022, mas as informações disponíveis não apontam impacto confirmado nas versões para iPhone, computadores ou na versão web.

Para verificar, abra as configurações do Telegram e confira o número da versão exibido na tela. Se o aplicativo estiver desatualizado, instale a atualização pela loja oficial do aparelho. Quem não conseguir atualizar imediatamente pode restringir as chamadas nas configurações de privacidade — a opção de limitar quem pode ligar reduz a possibilidade de alguém iniciar o cenário descrito pelos pesquisadores.

O que aconteceria durante a chamada

A vulnerabilidade estaria no processamento de dados usados para manter uma ligação de voz. De acordo com a análise da NebuSec, certas mensagens com informações incompletas poderiam levar o aplicativo a acessar áreas indevidas da memória. Para acionar o problema, não bastaria apenas enviar uma chamada: a vítima teria de atendê-la.

O ponto que pede mais cautela é a dimensão do impacto. A NebuSec afirma que a falha poderia ser combinada com outros dois problemas para ultrapassar as proteções do aplicativo e chegar a funções mais amplas do Android. Isso descreve uma cadeia de ataque possível, não a prova de que uma chamada atendida, por si só, entregue automaticamente o controle total do celular.

O que se sabe — e o que ainda falta

A correção na versão 12.10.4 e o intervalo de versões afetadas aparecem em análises independentes. Mas a demonstração técnica completa não foi publicada, e não há um identificador CVE associado ao caso. Segundo o relato da NebuSec reproduzido por veículos especializados, o Telegram questionou se a falha permitia execução remota de código; a empresa de segurança também disse não ter recebido recompensa pelo aviso.

Sem um relatório técnico reproduzível, fica difícil verificar de forma independente cada etapa que levaria de um erro no processamento de dados ao comprometimento amplo do aparelho. Essa ressalva não torna a atualização dispensável: corrigir o aplicativo continua sendo a medida mais segura, sobretudo porque a falha já foi descrita publicamente.

Como reduzir o risco

Além de atualizar o Telegram, mantenha o Android e os serviços de segurança do aparelho em dia. Se você recebeu uma chamada suspeita, não conclua automaticamente que o telefone foi invadido: não há registro público confirmado de exploração real dessa vulnerabilidade. Como precaução geral, vale revisar as sessões ativas do Telegram e encerrar aquelas que você não reconhece.

A medida mais simples é também a mais importante: conferir se o aplicativo está na versão 12.10.4 ou posterior. Restringir chamadas pode servir como proteção temporária, mas não substitui a instalação da correção.

Quer se aprofundar nesta notícia? Leia mais sobre ela abaixo: